CN104113539A - 一种钓鱼网站引擎探测方法及装置 - Google Patents

Abstract

本发明实施例公开一种钓鱼网站引擎探测方法及装置，应用于通信领域，能够解决现有的探测钓鱼网站引擎不及时只能对钓鱼网站被动防御的问题。该方法包括：对保护列表信息进行域名变换，获得变换后的域名；将变换后的域名进行DNS解析，以获得可疑域名；将可疑域名进行URL检测，以获得可疑URL信息；根据可疑URL信息探测钓鱼网站引擎。本发明的实施例应用于探测钓鱼网站。

Description

一种钓鱼网站引擎探测方法及装置

技术领域

本发明涉及通信领域，尤其涉及一种钓鱼网站引擎探测方法及装置。

背景技术

网络钓鱼(Phishing)是一种通过垃圾邮件、即时聊天工具、手机短信或网页虚假广告发送声称来自于银行或其他知名机构的欺骗性信息，意图引诱用户登录看起来极其真实的假冒网站，给出敏感信息(如用户名、口令、账号ID、ATM PIN码、信用卡)的攻击方式。最典型的网络钓鱼攻击将用户引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取用户在该网站上输入的个人敏感信息。

现有的钓鱼网站引擎的探测方法通常为根据已经建立的可疑网站的域名信息来探测，这种方法是基于用户发现的钓鱼网站进行被动检测，因此对于现在经常会发生变化的钓鱼网站会有探测不及时的现象，只能对钓鱼网站被动防御，无法防患于未然。

发明内容

本发明实施例提供一种钓鱼网站引擎探测方法及装置，以解决现有的钓鱼网站引擎探测不及时只能对钓鱼网站被动防御的问题。

本发明的第一方面提供一种钓鱼网站引擎探测方法，包括：对保护列表信息进行域名变换，获得变换后的域名；将所述变换后的域名进行DNS解析，以获得可疑域名；将所述可疑域名进行URL检测，以获得可疑URL信息；根据所述可疑URL信息探测钓鱼网站引擎。

根据第一方面，在第一种可能的实现方式中，所述域名变换包括顶级域名变换和主机名变换；其中，所述主机名变换包括特殊变换、外观相似变换、追加子版变换和联想变换。

根据第一方面，在第二种可能的实现方式中，所述将所述变换后的域名进行DNS解析，以获得可疑域名，包括：将所述变换后的域名进行IP地址的获取，并且根据存在IP地址的域名进行网络爬虫的检测判断所述变换后的域名是否匹配，如果匹配则为合法域名，并将其进行存储；如果不匹配，则为可疑域名。

根据第一方面，在第三种可能的实现方式中，所述将所述可疑域名进行URL检测，以获得可疑URL信息，包括：从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息；将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息。

根据第一方面的第三种可能的实现方式，在第四种可能的实现方式中，所述将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息，包括：将频繁出现过的每一条路径信息对每一个可疑域名进行配对，如果不匹配则为可疑URL。

根据第一方面，在第五种可能的实现方式中，所述对保护列表信息进行域名变换，获得变换后的域名之前，还包括：接收保护列表信息。

本发明的第二方面提供一种钓鱼网站引擎探测装置，包括：变换单元，用于对保护列表信息进行域名变换，获得变换后的域名；解析单元，用于将所述变换后的域名进行DNS解析，以获得可疑域名；检测单元，用于将所述可疑域名进行URL检测，以获得可疑URL信息；探测单元，用于根据所述可疑URL信息探测钓鱼网站引擎。

根据第二方面，在第一种可能的实现方式中，所述域名变换包括顶级域名变换和主机名变换；其中，所述主机名变换包括特殊变换、外观相似变换、追加子版变换和联想变换。

根据第二方面，在第二种可能的实现方式中，所述解析单元具体用于:将所述变换后的域名进行IP地址的获取，并且根据存在IP地址的域名进行网络爬虫的检测判断所述变换后的域名是否匹配，如果匹配则为合法域名，并将其进行存储；如果不匹配，则为可疑域名。

根据第二方面，在第三种可能的实现方式中，所述检测单元包括：收集子单元，用于从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息；匹配子单元，用于将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息。

根据第二方面的第三种可能的实现方式，在第四种可能的实现方式中，所述匹配子单元具体用于：将频繁出现过的每一条路径信息对每一个可疑域名进行配对，如果不匹配则为可疑URL。

根据第二方面，在第五种可能的实现方式中，所述装置还包括：

接收单元，用于接收保护列表信息。

本发明实施例提供的钓鱼网站引擎探测方法及装置，通过对保护列表信息进行域名变换，将变换后的域名进行DNS解析，以获得可疑域名；将可疑域名进行URL检测，以获得可疑URL信息，根据所述可疑URL信息探测钓鱼网站引擎，可以对主动并及时地检测钓鱼网站，即所要保护的网站对应的可疑网站。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。

图1为本发明实施例提供的钓鱼网站引擎探测方法的流程示意图；

图2为本发明又一实施例提供的钓鱼网站引擎探测方法的流程示意图；

图3为本发明实施例提供的钓鱼网站引擎探测装置的结构示意图；

图4为本发明又一实施例提供的钓鱼网站引擎探测装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。

图1为本发明实施例提供的钓鱼网站引擎探测方法的流程示意图。本实施例适用于钓鱼网站引擎探测，主要通过钓鱼网站引擎探测装置执行，该装置可以由硬件实现也可以用软件实现。参考图1所示，该方法主要包括以下步骤：

10、对保护列表信息进行域名变换，获得变换后的域名。

其中，用户根据所需要保护的网站，例如银行类或支付类等网站提取出保护列表，步骤10之前，还可以包括步骤101：接收保护列表信息。保护列表信息是通常所指的白名单，是从各类网站(如银行类、支付类网站)选择出来的网站，选择标准是用户根据检测要求自己制定，并将上述选择出来的网站输入至配置文件，该配置文件记录的就是上述保护列表信息。

域名变换是指将域名根据预先设计的变换规则进行变换，变换后的域名用于后续解析以获得可疑域名。

20、将变换后的域名进行DNS(Domain Name System，简称域名系统)解析，以获得可疑域名。

其中，DNS解析是指解析域名信息，通常通过主机名，最终得到该主机名对应的IP地址。如果通过了DNS解析则为合法域名，没有通过则为可疑域名。

为方便实现，还可以将上述可疑域名生成为可疑域名列表，后续步骤可以对该可疑域名列表进行相应操作。

30、将可疑域名进行URL检测，以获得可疑URL信息。

其中，URL是网站的全球唯一定位符，不仅反映了一个站点的组织结构信息，同时还隐含了丰富的钓鱼攻击迹象。由于钓鱼攻击者通常采用相同或者类似的方法构造钓鱼站点的地址，因此可以借助这些共同特征初步判断一个URL所指向的网站是否为钓鱼站点。例如，通过对钓鱼网站知识库中记录的URL解构，拟提取出所有URL字段并进行汇总，研究他们的内在联系。

URL检测是指根据URL信息进行的检测，检测不成功则为可疑URL信息。

为方便实现，还可以将上述可疑URL信息生成可疑URL列表，后续步骤可以对该可疑URL列表进行相应操作。

40、根据可疑URL信息探测钓鱼网站引擎。

其中，具体地，根据可疑URL信息基于页面信息对钓鱼网站进行探测，页面信息通常包括页面的标题(title)信息、页面的关键字、页面的内容信息(通常被渲染为图片)以及页面的结构信息。

本实施例，通过对保护列表信息进行域名变换，将变换后的域名进行DNS解析，以获得可疑域名；将可疑域名进行URL检测，以获得可疑URL信息，根据可疑URL信息探测钓鱼网站引擎，可以对主动检测所要保护的网站。这种方法可以主动的快速的探测出与所要保护的网站外观相近的钓鱼网站，因此可以在该钓鱼网站欺诈之前对其进行预警，以减少用户的财产损失。

在上述实施例基础上，步骤10中，域名变换包括顶级域名变换和主机名变换。

其中，顶级域变换是指将顶级域完整变换，例如.com变为.net。

主机名变换包括特殊变换、外观相似变换、追加子版变换和联想变换。

特殊变换是将主机名中的某一部分进行变换，例如baidu变为bai-du，此种变换没有规律可循，只能用字符串替换。

外观相似变换，该变换着重于外观，用户在观察网址是否正确的时候一般会忽略外观的偏差，例如baidu变为ba1du，该变换规则比较明确，难点在于对于位置的定位，因此通常使用正则替换，将替换规则用正则表达式来表示。

追加子版本变换，主要在域名最后出现数字时使用，用户会误把数字变换后的域名当做该域名的子版本，降低警惕性，例如baidu变为baidu1，该变换使用追加替换，即只关注域名最后的变换。

联想变换是将主机名中的数字或者特殊字符用同样为数字或者特殊字符进行变换，使用户很容易联想到对应的原网站，例如bai1du变为bai2du。此种变换对于定位仍是一个难点，所以要使用正则变换。

本方案通过上述域名变换，可以将检测域名的真实性。

具体地，步骤20中，将变换后的域名进行DNS解析，以获得可疑域名，可以优选包括：

将变换后的域名进行IP地址的获取，并且根据存在IP地址的域名进行网络爬虫的检测判断变换后的域名是否匹配，如果匹配则为合法域名，并将其进行存储；如果不匹配，则为可疑域名。

其中，根据存在IP地址的域名进行网络爬虫的检测判断变换后的域名是否匹配，是指根据存在IP地址的域名进行网络爬虫的检测，判断变换后的域名是否存在网页(即网页是否可达)，如果不存在则为合法域名，并将其进行存储为以后做连续的探测做准备，因为域名的相似性的原因，很可能出现在某一时段内该合法域名突然不匹配的现象；如果存在，则为可疑域名。

本方案，通过对变换后的域名进行DNS解析，可以更加准确地获得可疑域名信息。

可选地，步骤30中将可疑域名进行URL检测，以获得可疑URL信息，可以优选包括以下步骤，参考图2所示：

301、从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息。

其中，记录钓鱼网站的网站，例如www.anquan.org/task/、http://phishtank.com/等，记录了钓鱼网站频繁出现的路径信息，该路径信息具有一定的普遍性，可以用来与域名变换得出的可疑域名进行拼接得到可疑的URL。

302、将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息。

具体地，步骤301中将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息，可以优选采用：

将频繁出现过的每一条路径信息对每一个可疑域名进行配对，如果不匹配则为可疑URL。

本方案，对可疑域名进行URL检测是在DNS解析的基础上，可以更加准确并且有目的地探测钓鱼网站。从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息，将频繁出现过的每一条路径信息对每一个可疑域名进行配对，这样做可以缩小探测范围并且可以忽略一些没有规律的路径信息，更加准确的探测钓鱼网站。

图3为本发明实施例提供的钓鱼网站引擎探测装置的结构示意图。该装置适用于上述钓鱼网站引擎探测方法，可由软件或硬件实现。如图3所示，该装置包括：变换单元31、解析单元32、检测单元33和探测单元34。

其中，变换单元31，用于对保护列表信息进行域名变换，获得变换后的域名。

解析单元32，用于将变换后的域名进行DNS解析，以获得可疑域名。为方便实现，还可以将上述可疑域名生成为可疑域名列表，后续单元可以对该可疑域名列表进行相应操作。

检测单元33，用于将可疑域名进行URL检测，以获得可疑URL信息。为方便实现，还可以将上述可疑URL信息生成可疑URL列表，后续单元可以对该可疑URL列表进行相应操作。

探测单元34，用于根据可疑URL信息探测钓鱼网站引擎。

本实施例，通过对保护列表信息进行域名变换，将变换后的域名进行DNS解析，以获得可疑域名；将可疑域名进行URL检测，以获得可疑URL信息，根据可疑URL信息探测钓鱼网站引擎，可以对主动检测所要保护的网站。这种方法可以主动的快速的探测出与所要保护的网站外观相近的钓鱼网站，因此可以在该钓鱼网站欺诈之前对其进行预警，以减少用户的财产损失。

其中，域名变换包括顶级域名变换和主机名变换。

其中，主机名变换包括特殊变换、外观相似变换、追加子版变换和联想变换。

域名变换和上述钓鱼网站引擎探测方法中的域名变换原理和有益效果相同，此处不再赘述。

进一步地，解析单元32具体可用于:

将变换后的域名进行IP地址的获取，并且根据存在IP地址的域名进行网络爬虫的检测判断变换后的域名是否匹配，如果匹配则为合法域名，并将其进行存储；如果不匹配，则为可疑域名。

其中，具体地，根据存在IP地址的域名进行网络爬虫的检测判断变换后的域名是否匹配，是指根据存在IP地址的域名进行网络爬虫的检测，判断变换后的域名是否存在网页(即网页是否可达)，如果不存在则为合法域名，并将其进行存储为以后做连续的探测做准备，因为域名的相似性的原因，很可能出现在某一时段内该合法域名突然不匹配的现象；如果存在，则为可疑域名。

本方案，通过对变换后的域名进行DNS解析，可以更加准确地获得可疑域名信息。

可选地，参考图4所示，检测单元33可以包括：收集子单元331和匹配子单元332。

其中，收集子单元331，用于从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息；

匹配子单元332，用于将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息。

其中，匹配子单元332具体可用于：

将频繁出现过的每一条路径信息对每一个可疑域名进行配对，如果不匹配则为可疑URL。

本方案，对可疑域名进行URL检测是在DNS解析的基础上，可以更加准确并且有目的地探测钓鱼网站。从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息，将频繁出现过的每一条路径信息对每一个可疑域名进行配对，这样做可以缩小探测范围并且可以忽略一些没有规律的路径信息，更加准确的探测钓鱼网站。

在上述方案基础上，该钓鱼网站引擎探测装置还可以包括接收单元，用于接收保护列表信息。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (12)

1.一种钓鱼网站引擎探测方法，其特征在于，包括：

对保护列表信息进行域名变换，获得变换后的域名；

将所述变换后的域名进行DNS解析，以获得可疑域名；

将所述可疑域名进行URL检测，以获得可疑URL信息；

根据所述可疑URL信息探测钓鱼网站引擎。

2.根据权利要求1所述的方法，其特征在于，所述域名变换包括顶级域名变换和主机名变换；

其中，所述主机名变换包括特殊变换、外观相似变换、追加子版变换和联想变换。

3.根据权利要求1所述的方法，其特征在于，所述将所述变换后的域名进行DNS解析，以获得可疑域名，包括：

将所述变换后的域名进行IP地址的获取，并且根据存在IP地址的域名进行网络爬虫的检测判断所述变换后的域名是否匹配，如果匹配则为合法域名，并将其进行存储；如果不匹配，则为可疑域名。

4.根据权利要求1所述的方法，其特征在于，所述将所述可疑域名进行URL检测，以获得可疑URL信息，包括：

从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息；

将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息。

5.根据权利要求4所述的方法，其特征在于，所述将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息，包括：

将频繁出现过的每一条路径信息对每一个可疑域名进行配对，如果不匹配则为可疑URL。

6.根据权利要求1所述的方法，其特征在于，所述对保护列表信息进行域名变换，获得变换后的域名之前，还包括：

接收保护列表信息。

7.一种钓鱼网站引擎探测装置，其特征在于，包括：

变换单元，用于对保护列表信息进行域名变换，获得变换后的域名；

解析单元，用于将所述变换后的域名进行DNS解析，以获得可疑域名；

检测单元，用于将所述可疑域名进行URL检测，以获得可疑URL信息；

探测单元，用于根据所述可疑URL信息探测钓鱼网站引擎。

8.根据权利要求1所述的装置，其特征在于，所述域名变换包括顶级域名变换和主机名变换；

其中，所述主机名变换包括特殊变换、外观相似变换、追加子版变换和联想变换。

9.根据权利要求7所述的装置，其特征在于，所述解析单元具体用于:

将所述变换后的域名进行IP地址的获取，并且根据存在IP地址的域名进行网络爬虫的检测判断所述变换后的域名是否匹配，如果匹配则为合法域名，并将其进行存储；如果不匹配，则为可疑域名。

10.根据权利要求7所述的装置，其特征在于，所述检测单元包括：

收集子单元，用于从记录钓鱼网站的网站中收集钓鱼网站频繁出现过的路径信息；

匹配子单元，用于将频繁出现过的路径信息对可疑域名进行配对，以获得可疑URL信息。

11.根据权利要求10所述的装置，其特征在于，所述匹配子单元具体用于：

将频繁出现过的每一条路径信息对每一个可疑域名进行配对，如果不匹配则为可疑URL。

12.根据权利要求7所述的装置，其特征在于，所述装置还包括：

接收单元，用于接收保护列表信息。